Трейдер криптовалюти втрачає $50 млн у USDT через аферу з отруєнням адреси

Механізм отруєння адреси

Криптовалютний трейдер втратив майже 50 мільйонів доларів у одній транзакції 20 грудня, ставши жертвою складної атакої «отруєння адреси». Інцидент, в якому 49,999,950 USDT було переведено безпосередньо на гаманець шахрая, підкреслює зростаючу кризу безпеки, коли високотехнологічні злодії експлуатують основні людські звички та обмеження інтерфейсу користувача.

Згідно з розслідувачем на блокчейні Specter, жертва, намагаючись перевести кошти з біржі на особистий гаманець, спочатку виконала тестову транзакцію на 50 USDT на свою легітимну адресу. Це було виявлено зловмисником, який негайно створив підроблену адресу, яка збігалася з легітимною адресою гаманця жертви за першими та останніми чотирма символами.

Дізнатися більше: Крипто-шахрайства у 2025 році: як їх виявити та захиститися

Потім зловмисник відправив незначну кількість криптовалюти з цієї фальшивої адреси жертві, ефективно «отруївши» історію транзакцій користувача. У обговоренні, яке відбулося на X, Specter висловив жаль через те, що трейдер втратив кошти через «одну з найменш ймовірних причин такої великої втрати». Відповідаючи на слова співрозслідувача ZachXBT, який висловив жаль до жертви, Specter сказав:

«Саме тому я був шокований, втрата такої величезної суми через просту помилку. Лише кілька секунд, щоб скопіювати та вставити адресу з правильного джерела замість історії транзакцій, могли б запобігти всьому. Різдво зіпсовано.»

Недолік інтерфейсу: Еліпси та людська помилка

Оскільки більшість сучасних криптовалютних гаманців та оглядачів блоків скорочують довгі алфавітно-цифрові рядки, вказуючи адреси з еліпсами посередині (наприклад, 0xBAF4…F8B5), підроблена адреса здавалася ідентичною власній на перший погляд. Таким чином, коли жертва продовжила переведення решти 49,999,950 USDT, вона дотримувалася загальноприйнятої практики: скопіювавши адресу отримувача зі своєї нещодавньої історії транзакцій, а не з джерела.

Протягом 30 хвилин після отруєння майже 50 мільйонів в USDT було обміняно на стейблкоїн DAI, а згодом конвертовано в приблизно 16,690 ETH і спрямовано через Tornado Cash. Після усвідомлення того, що сталося, відчайдушна жертва надіслала повідомлення на блокчейні до зловмисника, запропонувавши “білий хет” винагороду в розмірі 1 мільйона доларів за повернення 98% коштів. Станом на 21 грудня активи залишаються невідновленими.

Експерти з безпеки попереджають, що зі зростанням криптоактівів до нових максимумів, ці низькотехнологічні, але високоприбуткові шахрайства «отруєння» стають більш поширеними. Щоб уникнути подібних долей, власникам рекомендується завжди брати адреси прийому безпосередньо з вкладки гаманця «Прийняти».

Користувачам слід додавати довірені адреси у список дозволених у своєму гаманці, щоб уникнути помилок при ручному введенні. Також слід розглянути використання пристроїв, які вимагають фізичного підтвердження повної адреси призначення, щоб забезпечити критичний другий рівень перевірки.

FAQ 💡

• Що сталося в атаці 20 грудня? Трейдер втратив майже 50 мільйонів USDT в шахрайстві з отруєнням адреси.
• Як працювало шахрайство? Зловмисники підробили адресу гаманця, яка виглядала ідентичною у скороченій формі.
• Куди були переведені вкрадені криптовалюти? Кошти були відмито через DAI, конвертовано в ETH і спрямовано через Tornado Cash.
• Як трейдери можуть захиститися?
  Завжди копіюйте адреси з вкладки «Прийняти» гаманця та додавайте до списку дозволених довірені рахунки.